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Storing and accessing data in mobile unit involves storing 
useful data in mobile unit at least partly in encoded form, 
decoding during access processes using function provided by 
user module 
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NOVELTY - The method involves storing the useful data (38) 
in the memory (48) of the mobile unit (10) at least partly in 
encoded form and decoding the useful data during access 
processes using a decoding function provided by a user module 
(12). The data are encoded during storage processes by a 
function provided by the user module. DETAILED DESCRIPTION - 
INDEPENDENT CLAIMS are also included for the following: a 
mobile unit, especially a mobile telephone or personal digital 
assistant and a user module, especially a subscriber 
identification module for a telecommunications network.; USE - 
For storing and accessing data in mobile unit. ADVANTAGE - 
Overcomes certain disadvantages of conventional arrangements, 
resulting in improved security against unauthorized access to 
useful data and application programs. DESCRIPTION OF DRAWING (S) 
- The drawing shows a schematic representation of a mobile unit 
and a user module useful data 38 memory of mobile unit 48 
mobile unit 10 user module 12 
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@ Speichern von und Zugreifen auf Daten in einem Mobiigerat und einem Benutzernnodul 

(§) Die Erfindung betrlfft Verfahren zum Speichern von 
und Zugreifen auf Nutzdaten (48) und Konfigurationsda- 
ten (62) in einem Mobiigerat (10), das mit einem Benutzer- 
modul (12) verbunden ist. Nach einem ersten Aspekt der 
Erfindung werden die Nutzdaten (48) im Mobiigerat (10) 
zumindest teilweise in verschlusselter Form gespelchert 
und bei Zugriffsvorgangen unter Verwendung einer Ent- 
schlusselungsfunktion (66) des Benutzermoduls (12) ent- 
schlusselt. Nach einem zweiten Aspekt der Erfindung 
werden die Konfigurationsdaten (62) im Benutzermodul 
(12) gespeichert. Die Konfigurationsdaten (62) geben an, 
ob bzw. in welchem Umfang ein Anwendungsprogramm 
(46) von dem Mobiigerat (10) ausgefuhrt werden darf. 
Durch die Erfindung werden die Sicherheit und der 
Schutz gegen unberechtigte Zugriffe auf Nutzdaten (48) 
und Anwendungsprogramme (46) in dem Mobiigerat (10) 
erhoht. 
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Beschreibung 

[0001] Die Erfindung betrifft allgemein das technische 
Gebiet des Speichems von und Zugreifens auf Daten in Mo- 
bilgeraten sowie in Benutzennodulen fur derartige Gerate. 5 
Ein bevorzugtes Einsatzgebiet der Erfindung sind Mobilge- 
rate, die dem Benutzer sowohl Telekommunikationsfunktio- 
nen (z. B. die Sprach- und/ oder Dateniibertragung iiber ein 
Telekommunikationsnetz) als auch Anwendungsprogramme 
(z. B. einen Terminplaner oder einen Texteditor) bereitstel- lO 
len. Derartige Mobilgerate konnen insbesondere als lei- 
stungsfahige Mobiltelefone oder als personliche digitale As- 
sistenten (PDAs = personal digital assistants) ausgestaltet 
sein. 

[0002] Die deutsche Offenlegungsschrift 15 

DE 197 24 901 Al zeigt ein Mobiltelefon nach dem GSM- 
Standard (GSM = global system for mobile communica- 
tion). Das Mobiltelefon weist eine Steuereinheit, einen Ge- 
ratespeicher und eine Schnittstelle fur ein Teilnehmeridenti- 
fikationsmodul (SIM = subscriber identity module) auf. 20 
tJber eine Leitungsverbindung mit einem Computer konnen 
Nutzdaten, z. B. Adressenlisten oder Umsatzdaten oder 
Preislisten, in den Geratespeicher geladen werden. Femer ist 
die Moglichkeit vorgesehen, iiber die Leitungsverbindung 
nicht naher spezifizierte Programme in den Geratespeicher 25 
zu laden und spater durch das Mobiltelefon ausfuhren zu 
lassen. Die Dateniibertragung kann integritatsgesichert oder 
verschliisselt erfolgen. 

[0003] In der Regel wird beim Einschalten eines GSM- 
Mobiltelefons eine Berechdgungsabfrage durchgefiihrt, bei 30 
der der Benutzer eine personliche Geheimzahl (PIN = perso- 
nal identificadon number) eingeben muss. Die vollstandige 
Benutzeroberflache einschlieBlich der Zugriffsmoglichkeit 
auf die in dem Mobiltelefon gespeicherten Nutzdaten wird 
nur bei korrekter Eingabe der Geheimzahl freigegeben. Die 35 
meist vertraulichen Nutzdaten sind damit in gewissem Um- 
fang gesichert. Es besteht jedoch das Problem, dass diese Si- 
cherung mit hinreichender krimineUer Energie umgangen 
werden kann. So konnen bei spiels weise mittels geeigneter 
Gerate Speicherbausteine des Mobiltelefons unmittelbar auf 40 
Hardwareebene ausgelesen werden, 
[0004] Die Speicherung von Nutzdaten im Mobilgerat ist 
insbesondere dann sinnvoU, wenn das Mobilgerat auch zum 
Ausfuhren von Anwendungsprogrammen zur Verarbeitung 
dieser Nutzdaten eingerichtet ist. Diese Funktionalitat ist 45 
heute schon bei leistungsfahigen GSM-Mobiltelefonen so- 
wie bei PDAs gegeben. Fiir Mobilgerate der 2.5- ten und 3- 
ten Generadon, z. B. Gerate fur die Netze GPRS (general 
packet radio service), EDGE, UMTS (universal mobile tele- 
comraunicadons system) und WCDMA (wideband code-di- 50 
vision multiple access) ist es wegen der hohen Ubertra- 
gungsgeschwindigkeiten realistisch, Anwendungspro- 
gramme iiber die LuftschnittsteDe von einem Dienstanbieter 
in das Mobilgerat zu laden und/oder zu aktualisieren. 
[0005] Bei den genannten Mobilgeraten bestehen Pro- 55 
bleme beziehungsweise Verbesserungsbedarf in mehrerlei 
Hinsicht. Erstens soil auch hier ein unautorisierter Zugriff 
auf Anwendungsprogramme verhindert werden. Es soil also 
sichergesteUt sein, dass nur der berechtigte Benutzer ein An- 
wendungsprogramm beziehungsweise einzelne gesicherte 60 
Funktionen des Anwendungsprogramms aufrufen kann. 
Zweilens ware eine Moglichkeit wiinschenswert, dem Be- 
nutzer eine mogUchst genau auf seine Bediirfriisse zuge- 
schnittene Auswahl von Funktionen anzubieten. Drittens 
soil eine moglichst weitgehende Gerateunabhangigkeit der 65 
bereitgesteUten Funktionen erreicht werden. 
[0006] Die Erfindung hat die Aufgabe, die genannten Pro- 
bleme ganz oder teilweise zu losen. Insbesondere sollen 
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durch die Erfindung die Sicherheit und der Schutz gegen un- 
berechdgte ZugrifFe auf Nutzdaten und Anwendungspro- 
gramme in einem Mobilgerat erhoht werden. In bevorzugten 
Ausgestaltungen soil die Erfindung femer hohen Komfort 
fur den Benutzer bereitsteUen und kostengiinstig verwirk- 
licht werden konnen. 

[0007] Erfindungsgemafi wird diese Aufgabe ganz oder 
zum Teil gelost durch ein Verfahren mit den Meiimialen der 
Anspriiche 1 beziehungsweise 10, ein Mobilgerat mit den 
Merkmalen der Anspriiche 8 beziehungsweise 17 und ein 
Benutzermodul mit den Merkmalen der Anspriiche 9 bezie- 
hungsweise 19. Die abhangigen Anspriiche betreffen bevor- 
zugte Ausgestaltungen der Erfindung. 
[0008] Die Erfindung geht von der Grundidee aus, durch 
eine geeignete Speicherung der Nutz- beziehungsweise 
Konfigurationsdaten die oben genannten Sicherheitsanfor- 
derungen zu erfiillen. 

[0009] Ein erster Aspekt der Erfindung betrifft das Spei- 
chem der Nutzdaten. Diese werden erfindungsgemafi im Ge- 
ratespeicher des Mobilgorats in verschliisselter Form abge- 
legt. Zumindest zum Entschliisseln der Nutzdaten (und in 

bevorzugten Ausgestaltungen auch zum Verschliisseln) die- 
nen entsprechende Funkdonen, die vom Benutzermodul be- 
reitgestellt werden. 

[0010] Dadurch, dass die Nutzdaten im Speicher des Mo- 
bilgerats lediglich in verschliisselter Form vorliegen, sind 
diese Daten auch dann gegen Ausspahung gesichert, wenn 
sich ein Unbefugter unter Umgehung der normalen Benut- 
zerschnitts telle des Mobilgerats Zugriff auf den Inhalt des 
Geratespeichers verschafift. Der in der Regel groBziigig be- 
messene Geratespeicher kann ohne Sicherheitsbedenken zur 
Speicherung der Nutzdaten eingesetzt werden, wodurch sich 
groBere Datenmengen und komplexe Datenstrukturen im 
Mobilgerat mitfuhren lassen, 

[0011] Die erfindungsgemafi zur Speicherung vorgesehe- 
nen Nutzdaten konnen beliebige vom Benutzer gewiinschte 
Daten sein. Vorzugsweise sind dies Daten, die auch von ei- 
nem auf dem Mobilgerat laufenden Anwendungsprogramm 
verarbeitet werden konnen, beispielsweise Termin- und 
Adressenlisten zur Verarbeitung durch einen Terminplaner 
mil Adressbuchfunktion, geschaftliche Tabellen z. B. zur 
Verarbeitung durch Tabellenkalkulationsprogranmie, 
Sprachdaten beispielsweise erzeugt durch Diktataufzeich- 
nungsprogramme oder allgemeine Texte zur Verarbeitung 
durch Texteditoren. Auch eine Speicherung von Nutzdaten, 
fiir die kein entsprechendes Anwendungsprogramm im Mo- 
bilgerat verfiigbar ist, kann wiinschenswert sein. Das Mobil- 
gerat dient dann als sicherer Datentrager zum Austausch der 
Nutzdaten z. B. zwischen dem Arbeitsplatz und einem 
Heimbiiro. 

[0012] In bevorzugten Ausgestaltungen werden die Ver- 
und Entschliisselungsfiinkdonen teilweise oder voUstandig 
von einer Prozessoreinheit des Benutzermoduls ausgefuhrt, 
wobei die Prozessoreinheit auf Schliisseldaten zugreift, die 
in einem Modulspeicher enthalten sind. Die Schliisseldaten 
brauchen in diesen Ausgestaltungen das Benutzermodul 
nicht zu verlassen, wodurch eine besonders hohe Sicherheit 
erzielt wird. Dies gilt besonders dann, wenn die Schliissel- 
daten auch innerhalb des Benutzermoduls erzeugt und in 
den Modulspeicher eingeschrieben werden. Es sind jedoch 
auch Ausgestaltungen der Erfindung vorgesehen, bei denen 
zumindest das Verschliisseln und moglicherweise auch das 
Entschlusseln der Nutzdaten ganz oder teilweise durch eine 
Prozessoreinheit des Mobilgerats ausgefuhrt wird, an die die 
vom Benutzermodul bereitgesteUten Ver- und/ oder Ent- 
schliisselungsfunktionen iibertragen werden. 
[0013] Vorzugsweise wird ein asymmetrisches Verschliis- 
selungsverfahren wie z. B. das RSA- Verfahren (RSA = Ri- 
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vest-Shamir-Adleman) eingesetzt. Die Schlusseldaten wei- 
sen dann einen offentlichen Schlussel und einen privalen 
Schlussel auf. Es sind jedoch auch Ausgestallungen vorge- 
sehen, bei denen symmetrische Verschlusselungsverfahren 
verwendet werden. Konzeptuell wird auch bei diesen Aus- 
gestallungen von "Ver- und aitschlQsselungsfunktionen" 
gesprochen, auch wenn in beiden Fallen die gleichen Be- 
rechnungsschritte ausgefuhrt werden. 
[0014] ErfindungsgemaB ist zumindest zum Ausfuhrcn 
der Entschlusselungsschritte das Benutzermodul erf order- 
lich. Dies bewirkt bereits einen gewissen Schutz, weil das 
Benutzermodul und das Mobilgerat getrennt aufbewahrt 
werden konnen. In bevorzugten Ausfuhrungsformen ist je- 
doch voxgesehen, dass zumindest die Entschlusselungsfunk- 
tion nur nach Eingabe eines Kennworts (passphrase) und/ 
Oder nach einer biometrischen Priifung, z. B. der Priifung ei- 
nes Fingerabdrucks oder einer Sprachanalyse, freigegeben 
wird. Durch diese MaBnahme ist die Datensicherheit auch 
dann gewahrleistet, wenn das Mobilgerat zusammcn mil 
dem Benutzermodul abhanden kommt. 
[0015] Ein zweiter Aspekt der Erfindung betrifft die Ver- 
wendung von Konfigurationsdaten beim Ausfuhren eines 
Anwendungsprogramms in dem Mobilgerat. Dieser Aspekt 
beruht auf der Grundidee, durch die Konfigurationsdaten die 
Verfugbarkeit des gesamten Anwendungsprogramms oder 
einzelner Funklionen des Anwendungsprogramms anzuge- 
ben. Die Konfigurationsdaten werden im Benutzermodul 
gespeichert, wahrend das Anwendungsprogranmi im Mobil- 
gerat vorliegt. Das Anwendungsprogramm wird nur dann 
bzw. nur in dem Umfang ausgefuhrt, wie dies durch die 
Konfigurationsdaten angegeben ist. 

[0016] Die erfindungsgemaBe Lehre bietet Schutz gegen 
eine unautorisierle Ausfiihrung des Anwendungsprogramms 
bzw. einzelner Programmfunktionen, da neben dem Mobil- 
gerat stets auch das Benutzermodul mit den entsprechenden, 
die Progranunausfiihrung zulassenden Konfigurationsdaten 
erforderlich ist. Femer schafft die Erfindung die technischen 
Grundlagen, um eine genau auf die Bediirfnisse des Benut- 
zers zugeschnittene Programmkonfiguration bereitzustellen. 
Dies ist insbesondere dann von Bedeutung, wenn fiir die 
Programmbenutzung ein von der zur Verfugung gestellten 
Funktionalitat abhangiges Entgelt zu entrichten ist, wie dies 
beispielsweise bei ASP-Angeboten (ASP = application ser- 
vice providing) der Fall ist. Da erfindungsgemaB die Konfi- 
gurationsdaten im Benutzermodul gespeichert sind, kann 
der Benutzer durch einfaches Umstecken des Benutzermo- 
duls die von ihm gewunschte Konfiguration bei beliebigen 
kompatiblen Mobilgeraten einstellen. 
[0017] Unter dem hier verwendeten Begriff "Anwen- 
dungsprogranmi" sind insbesondere Programme zu verste- 
hen, die Datenverarbeitungsfunktionen hinsichtlich der 
oben genannten Nutzdaten ausfuhren. Wenn es sich bei dem 
Mobilgerat um ein Gerat mit Telekommunikationsfunktio- 
nen handeit, sind die Anwendungsprogramme vorzugsweise 
unabhangig von diesen Telekonununikadonsfunktionen 
oder zumindest auch fiir andere Zwecke nutzbar, Beispiele 
typischer Anwendungsprogramme sind Terminplaner, 
Adressbiicher, Texteditoren, Tabellenkaikulationspro- 
gramme, Datenbanken, Diktataufzeichnungsprogramme 
und so weiter. Auch Programme, die nur Benutzeroberfla- 
chen fiir die oben genannten oder ahnliche Anwendungen 
bereits tellen (wahrend die cigentlichen Datcnverarbcilungs- 
vorgange durch den Server eines ASP-Anbieters ausgefuhrt 
werden), soUen im hier verwendeten Sinne als Anwen- 
dungsprogramme aufgefasst werden. In manchen Ausge- 
stallungen sind auch Browser und Viewer zur formatierten 
Anzeige von Dokumenten als Anwendungsprogramme vor- 
gesehen. 



[0018] Zur weiteren Erhohung des Schutzes gegen eine 
unberechtigte Ausfuhrung der Anwendungsprogramme ist 
vorzugsweise das Auslcscn der Konfigurationsdaten durch 
ein Kennwort und/oder eine biometrische tJberprufung, 

5 z, B. eine Stimm- oder Rngerabdruckanalyse, gesichert 
Das Benutzermodul gibt nur dann die Konfigurationsdaten 
frei und ermoglicht dadurch das Ausfuhren des entsprechen- 
den Anwendungsprogramms beziehungsweise der entspre- 
chenden Programmfunktion, wenn sich der Benutzer durch 

10 das Kennwort und/oder seine biometrischen Daten hinrei- 
chend identifizieren konnte. 

[0019] Die erfindungsgemaBe Funktionalitat ist auch bei 
Mobilgeraten einsetzbar, die ein oder mehrere fest gespei- 
cherte Anwendungsprogramme enthalten. Vorzugsweise 

15 dienen die Konfigurationsdaten jedoch auch dazu, das La- 
den von Anwendungsprogrammen oder zumindest Teilen 
davon in das Mobilgerat zu steuem. Insbesondere bei Mo- 
bilgeraten, die leistungsfahige Funklionen zur drahtlosen 
Dateniibertragung aufweisen, konnen die Anwendungspro- 

20 gramme oder die benotigten Programmmodule uber die 
LuftschnittsteUe von einem extemen Dienstanbieter geladen 
werden. Diese Moglichkeit ist im Zusammenhang mit ASP- 
Angeboten besonders vorteilhaft. Der Komfort fur den Be- 
nutzer wird erheblich gesteigcrt^ wenn er bereits durch die 

25 bloBe Verwendung des Bcnutzermoduls auf jedem kompati- 
blen Mobilgerat ein automatisches Laden der benotigten 
Anwendungsprogramme entsprechend seiner Konfiguration 
initiieren kann. Das herstellerunabhangige Laden von An- 
wendungsprogrammen wird durch die Verwendung von 

30 Programmiersprachen unterstutzt, die unabhangig von der 
Rechnerplaltform arbeiten, wie dies beispielsweise auf Ja- 
va® zutrifft. 

[0020] Besonders vorteilhaft ist eine Verbindung der bei- 
den genannten Aspekte der Erfindung, weil dadurch ein 
35 Schutz gegen unberechtigten Zugriff auf die Nutzdaten und 
ein Schutz gegen die unberechtigte Ausfuhrung von Anwen- 
dungsprogrammen erreicht wird. 

[0021] Das Mobilgerat ist in bevorzugten Ausgestallun- 
gen beider oben genannter Aspekte ein Telekommunikati- 

40 onsgerat, insbesondere ein Mobiltelefon oder ein personli- 
cher digitaler Assistcnt (PDA) milTelefoniefunktionen. Das 
Benutzermodul ist vorzugsweise ein Teilnehmeridentifikali- 
onsmodul (SIM = subscriber identification module), wie es 
auch zur Einbuchung in ein Telekommunikationsnetz beno- 

45 tigt wird. Insbesondere kann ein Benutzermodul voxgesehen 
sein, das als sogenanntes trusted device oder tamper resi- 
stant device manipulationsgesichert ist, so dass ein Ausspa- 
hen der Ver- und Entschlusselungsfunktionen oder der 
Schlusseldaten oder vertraulicher Konfigurationsdaten ver- 

50 hindert wird. Die Verwendung eines Teilnehmeridentifikati- 
onsmoduls bietet sich auch dann an, wenn das Mobilgerat 
keine Telefoniefunktionen aufweist oder das Modul nicht 
bei einem Telefonieanbieter registriert ist, weil derartige 
Module in groBen Sliickzahlen hergestelll werden und da- 

55 durch relauv kostengunstig verfugbar sind. 

[0022] Das Mobilgerat und das Benutzermodul sind vor- 
zugsweise mit Merkmalen weitergebildet, die den oben be- 
schriebenen und/oder in den abhangigen Verfahrensansprii- 
chen genannten Merkmalen entsprechen. 

60 [0023] Weitere Merkmale, Voneile und Aufgaben der Er- 
findung gehen aus der folgcnden gcnauen Beschreibung ei- 
nes Ausfuhrungsbeispiels der Erfindung und mehrerer Aus- 
fuhningsaltemativen hervor. Es wird auf die schematische 
2^ichnung verwiesen, in der Fig. 1 ein Blockdiagramm we- 

65 sentlicher Funklionseinheiten eines Systems nach dem vor- 
liegend beschriebenen Ausfuhrungsbeispiel der Erfindung 
zeigt. 

[0024] In Fig. 1 sind ein Mobilgerat 10 und ein Benutzer- 
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modul 12 dargestellt, die iiber eine Schnittstelle 14 mitein- 
ander verbunden sind. Das Mobilgerat 10 ist im vorliegen- 
den Ausfuhrungsbeispiel als leislungsfahiges Mobiltelefon 
ausgestaltet, das Telekommunikationsfunktionen gemaB den 
Standards GSM fur Telefoniedienste und GPRS fur Daten- 
iibertragungsdienste bereitstellt. Entsprechend ist das Be- 
nutzermodul 12 als SIM-Karte ausgebildet, welche in das 
Mobiltelefon eingesetzt wird oder fest im Mobiltelefon an- 
geordnet ist. Uber eine Luftschnittstelle 16 vermag das Mo- 
bilgerat 10 auf ein entsprechendes Telekommunikationsnetz 
18 zuzugreifen. In Ausfiihrungsaltemaliven ist das Mobilge- 
rat 10 nach einem weiterentwickelten Mobilfunkstandard, 
z. B. UMTS, und/oder als personlicher digitaler Assistent 
(PDA) ausgestaltet. 

[0025] In an sich bekannter Weise weist das Mobilgerat 10 
einen Hochfrequenzteil 20 auf, der Funkwelien iiber eine 
Antenne 22 sendet und empfangt. Ein digitaler Signalpro- 
zessor (DSP) 24 dient zur Verarbeitung des Sende- bzw. 
Empfangssignals. Femer verarbeitet der digitale Signalpro- 
zessor 24 Niederfirequenzsignale, die iiber einen Niederfre- 
quenzteil 26 an einen Lautsprecher 28 geleitet werden be- 
ziehungsweise von einera Mikrofon 30 iiber den Niederfre- 
quenzteil 26 an den digitalen Signalprozessor 24 ausgege- 
ben werden. Eine Prozessoreinheit 32 koordiniert alle im 
Mobilgerat 10 ablaufenden Vorgange. Die Prozessoreinheit 
32 ist mit der SchnittsteUe 14, dem digitalen Signalprozes- 
sor 24, einer hier als grafikfahiges LCD-Display ausgestal- 
teten Anzeige 34, einer Tastatur 36 und einem Geratespei- 
cher 38 verbunden. Der Geratespeicher 38 kann fest instal- 
liert oder abnehmbar, beispielsweise in Form einer Spei- 
cherkarte, ausgefuhrt sein. 

[0026] Der Geratespeicher 38 ist durch mehrere Halblei- 
terchips in unterschiedlichen Speichertechnologien imple- 
mentiert. In der konzeptionellen Darstellung von Fig. 1 
weist der Geratespeicher 38 einen nur-lesbaren Bereich 40 
(z. B. implementiert als maskenprogrammiertes ROM) und 
einen beschreibbaren Bereich 42, z. B. implementiert als 
RAM oder EEPROM oder FLASH-Speicher, auf. Der nur- 
lesbare Bereich 40 des Geratespeichers 38 enihalt insbeson- 
dere Betriebsprogramme 44, die von der Prozessoreinheit 
32 als grundlegendes Betriebssystem des Mobilgerats 10 so- 
wie zur Implementierung der Telekommunikationsfunktio- 
nen ausgefiihrt werden. In den beschreibbaren Bereich 42 
sind Anwendungsprogramme 46 und Nutzdaten 48 geladen. 
[0027] Fig. 1 zeigt als Beispiel fiir die Anwendungspro- 
gramme 46 einen Terminplaner 46.1 (mit Adressbuchfunk- 
tion) und einen Texteditor 46.2. Als Nutzdaten 48 sind in 
Fig. 1 eine Termin- und Adressenliste 48.1 fur den Termin- 
planer 46.1 und ein Brief 48,2 fur den Texteditor 46.2 darge- 
stellt. Die Anwendungsprogramme 46 werden von der Pro- 
zessoreinheit 32 ausgefuhrt und greifen auf die Nutzdaten 
48 zu. Die Nutzdaten 48 sind im Geratespeicher 38 ver- 
schliisselt abgelegt, was in Fig. 1 durch eine Schraff ur ange- 
deutet ist. 

[0028] Das Benutz^modul 12 ist als Teilnehmeridentifi- 
kationsmodul (SIM) fur das Telekommunikationsnetz 18 
ausgestaltet, und auch die Schnittstelle 14 entspricht mecha- 
nisch und elektrisch den fiir dieses Telekommunikationsnetz 
18 vorgesehenen Normen. Das Benutzermodul 12 weist eine 
als Mikrocontroller ausgestaltete Prozessoreinheit 50 auf, 
die auf einem einzigen Chip mit einem Modulspeicher 52 
integriert ist. Der Modulspeicher 52 ist durch unterschiedli- 
che Speichertechnologien in einen nur-lesbaren Bereich 54 
und einen beschreibbaren Bereich 56 unterteilt. 
[0029] Der Modulspeicher 52 enthalt Steuerprogramme 
und Daten, die erstens grundlegende Beuiebssystemfunktio- 
nen fiir das Benutzermodul 12 bereitstellen und zweitens 
das Einbuchen und den Telekommunikationsbetrieb des 



Mobilgerats 10 im Hinblick auf das Telekommunikations- 
netz 18 ermogUchen. Aus Griinden der Ubersichtlichkeit 
sind diese Steuerprogramme und Daten in Fig. 1 nicht ge- 
sondert dargestellt. Fiir die erfindungsgemaBen Aspekte des 

5 hier beschriebenen Ausfiihrungsbeispiels besonders rele- 
vant und deshalb in Fig. 1 gezeigt sind kryptographische 
Funktionen 58 im nurlesbaren Bereich 54 des Modulspei- 
chers 52 sowic Schliisseldaten 60 und Konfigurationsdaten 
62 im beschreibbaren Bereich 56. 

to [0030] Die kryptographischen Funktionen 58 enthalten 
eine Verschlusselungsfunktion 64, eine Entschliisselungs- 
funktion 66 und eine Schliisselerzeugungsfunktion 68. Die 
Schliisseldaten 60 teilen sich in einen oflfentlichen Schliissel 
70 und einen privaten Schliissel 72 auf. Die Konfigurations- 

15 daten 62 weisen fur jedes im Mobilgerat 10 vorgesehene 
Anwendungsprogramm 46 einen entsprechenden Konfigu- 
rationsdatensatz auf, namlich im hier beschriebenen Aus- 
fuhrungsbeispiel einen Konfigurationsdatensatz 62.1 fiir den 
Terminplaner 46.1 sowie einen Konfigurationsdatensatz 

20 62.2 fur den Texteditor 46.2. 

[0031] Im Betrieb stellt das in Fig. 1 gezeigte System die 
iiblichen Telekommunikationsfunktionen entsprechend den 
jeweihgen Standards, im vorliegenden Fall GSM und 
GPRS, bereit. Zusatzlich kann der Benutzer die Anwen- 

25 dungsprogrammc 46 aufrufen und mit diesen die Nutzdaten 
48 oder andere Daten bearbeiten. 

[0032] Zum Bereitstellen der Anwendungsprogramme 46 
greift das Mobilgerat 10 beim Einschalten oder spatestens, 
wenn der Benutzer ein Anwendungsprogramm 46 starten 

30 mochte, auf die Konfigurationsdaten 62 im Benutzermodul 
12 zu. Dieser Zugriff erfolgt iiber die Prozessoreinheit 50 
des Benutzermoduls 12, die ihrerseits zunachst eine Kenn- 
worteingabe anfordert, bevor sie den Zugriff freigibt. Die 
Kennwortanforderung wird auf der Anzeige 34 des Mobil- 

35 gerats 10 angezeigt, und der Benutzer gibt das entspre- 
chende Kennwort iiber die Tastatur 36 ein. Die Korrektheit 
des Kennworts wird durch die Prozessoreinheit 50 iiber- 
priift. 

[0033] Hat der Benutzer das korrekte Kennwort eingege- 
40 ben, so ubertragt das Benutzermodul 12 die angeforderten 
Konfigurationsdaten 62 (entwcder alle Konfigurationsdaten 
62 oder nur den fiir das jeweilige Anwendungsprogramm 
46.1, 46.2 vorgesehenen Datensatz 62.1, 62.2) an das Mobil- 
gerat 10. Die Prozessoreinheit 32 iiberpriift nun, ob gemaB 
45 den iibertragenen Konfigurationsdaten 62, 62.1, 62.2 die 
Ausfiihrung von Anwendungsprogrammen 46 oder des kon- 
kret angeforderten Anwendungsprogramms 46.1, 46.2 zu- 
lassig ist. Ist dies der Fall, so wird die Progranunausfuhrung 
freigegeben. 

50 [0034] Wenn sich das gewiinschte Anwendungsprogramm 
46.1, 46.2 bereits im Geratespeicher 38 befindet, kann das 
Programm ohne weiteres gestartet werden. Andemfalls wird 
das benotigte Programm iiber die Luftschnittstelle 16 und 
das Telekommunikationsnetz 18 von einem Server eines 

55 ASP-Anbieters in den Geratespeicher 38 geladen. Auch die- 
ser Download- Vorgang muss durch das Benutzermodul 12 
autorisiert werden, das hierbei als sogenannter gatekeeper 
arbeitet. Selbst wenn das gewiinschte Anwendungspro- 
gramm 46.1, 46.2 bereits im Geratespeicher 38 enthalten ist, 

60 kann dennoch eine Anfirage iiber die Luftschnittstelle 16 
beim ASP-Dienstanbieter erfolgen, um erstens Abrech- 
nungsdaten zu iibertragen und zweitens gegebenenfalls vor- 
liegende Programmaktualisierungen in das Mobilgerat 10 zu 
iibemehmen. 

65 [0035] Die Konfigurationsdaten 62 beu-effen im hier be- 
schriebenen Ausfuhrungsbeispiel nicht nur die grundlegen- 
den Benutzerbcrechtigungen, sondem auch bevorzugte Ein- 
stellungen der Anwendungsprogramme 46, beispielsweise 
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voreingestellle Dateipfade, Spracheinstellungen, Meniikon- 
figurationen und sonstige Benutzerpraferenzen. Diese Ein- 
stellungen werden den aufgerufenen Anwendungspro- 
gramm 46 zuganglich gemacht, so dass der Benutzer immer 
mil der von ihm gewunschten Programmkonfiguration ar- 
beitet. Dies gilt auch dann, wenn der Benutzer sein Benut- 
zermodul 12 mit einem neuen oder anderen Mobilgerat 10 
verbindet. 

[0036] Bei hinreichender Standardisierung der Anwen- 
dungsprogrammierungsschnittstellen (APIs = application 
programming interfaces), wie sie beispielsweise durch Ver- 
wendung der Programmiersprache Java® mittelfristig zu er- 
warten ist, kann damit ein ASP-Anbieter fur jeden Benutzer 
maBgeschneiderte und von dem benutzten Mobilgerat 10 
unabhangige Anwendungsprogrammdienste anbieten. 
Uberdies wird ein hohes Sicherheitsniveau eireicht, da 
samtliche Anwendungsprogramme 46 nur bei Vorhanden- 
sein des Benutzermoduls 12 und nach Kennworteingabe 
aufrufbar sind. Um einen Missbrauch bei einem Diebstahl 
des Mobilgerats 10 in eingeschaltetem Zustand (nach der 
Kennworteingabe durch den Benutzer) zu verhindem, kann 
vorgesehen sein, dass nach einer Unterbrechung der Benut- 
zeraklivitat fiir eine vorbestimmte Dauer wieder eine Kenn- 
worteingabe angefordert wird, wie dies beispielsweise bei 
Bildschirmschonem flir stationare Burocomputer bereits an 
sich bekannt ist. 

[0037] In dem bisher beschriebenen Ausfiihrungsbeispiel 
wurde als kleinste Einheit fiir den Autorisierungsmechanis- 
mus und gegebenenfalls den Ladevorgang iiber die Luft- 
schnittstelle 16 ein Anwendungsprogramm 46 angesehen. 
Abhangig von der eingesetzten Programmiertechnologie 
kann jedoch auch ein feineres Granularitatsniveau verwen- 
det werden. Es konnen sich also die Konfigurationsdaten 62 
beispielsweise auf die Berechtigung des Benutzers zum 
Ausfiihren einzekier Programmfunktionen oder einzelner 
Programm-Module beziehen, und diese Programmfunktio- 
nen Oder Programm-Module konnen bei Bedarf einzeln iiber 
die Luftschnittstelle 16 geladen werden. Durch diese Vorge- 
hensweise werden erstens lange Ladezeiten vermieden, und 
zweilens kann eine noch genauere Einstellung auf die Be- 
nutzerpraferenzen erfolgen. Auch bei der Aktualisierung 
von Anwendungsprogrammen 46 iiber die Luftschnittstelle 
16 werden vorzugsweise nur solche Programm-Module 
iibertragen, die sich gegeniiber der bereits im Mobilgerat 10 
befindlichen Version tatsachlich verandert haben. 
[0038] Die von den Anwendungsprogrammen 46 bearbei- 
teten Nutzdaten 48 sind im Geratespeicher 38 entweder 
vollstandig oder zumindest teilweise in verschliisselter 
Form abgelegt. Beispielsweise kann dem Benutzer ein Da- 
teisystem zur Speicherung der Nutzdaten 48 bereitgesteUt 
werden, bei dem einzelne Ordner oder einzelne Laufwerke 
wahlweise fur eine verschliisselte oder unverschliisselte Da- 
tenspeicherung eingestellt werden konnen. Eine ahnliche 
Funktionalitat flir stationare Burocomputer ohne Einsatz ei- 
nes Benutzermoduls ist bereits durch das Produkt PGPdisk® 
des Herslellers Network Associates, Inc., bekannt. 
[0039] Wenn ein Anwendungsprogramm 46 Nutzdaten 48 
in einem zur Verschlusselung vorgesehenen Bereich des Da- 
tei systems speichem mochte, werden diese Daten von der 
Prozessoreinheit 32 iiber die Schnittstelle 14 an das Benut- 
zermodul 12 iibertragen. Die Prozessoreinheit 50 des Benut- 
zennoduls 12 fiihrl die Verschliisselungsfunktion 64 aus, 
wobei der in den Schliisseldaten 60 endialtene ofFentliche 
Schliissel 70 herangezogen wird. Die verschliisselten Nutz- 
daten 48 werden iiber die Schnittstelle 14 und die Prozesso- 
reinheit 32 in den Geratespeicher 38 geschrieben. 
[0040] Der Zugrifif auf verschliisselt abgelegtc Nutzdaten 
48 erfolgt entsprechend. Auch hier fiihrt die Prozessorein- 



heit 50 des Benutzermoduls 12 die eigentliche Entschlusse- 
lung unter Verwendung der Entschliisselungsfunktion 66 
und des privaten Schliissels 72 aus. Vorab fordert die Pro- 
zessoreinheit 50 jedoch eine Kennworteingabe vom Benut- 
5 zer an. Erst wenn das korrekte Kennwort (passphrase) auf 
der Tastatur 36 eingegeben wurde (oder eine sonstige bio- 
metrische Idenlifizierung des Benutzers korrekt durchge- 
fiihrt wurde), wird der Entschliisselungsvorgang frcigege- 
ben. 

10 [0041] Im hier beschriebenen Ausfiihrungsbeispiel wird 
die Ver- und Entschlusselung nach einem asymmetrischen 
RSA-Verfahren durchgefuhrt. In Ausftihrungsaltemativen 
sind dagegen andere asymmetrische oder symmetrische Ver- 
und Entschliisselungsverfahren oder Mischformen davon, 

15 z. B. symmetrische VerschlQsselung unter Verwendung ei- 
nes asymmetrisch verschliisselten Schlussels, vorgesehen. 
Bei symmetrischen Verfahren braucht nicht zwischen dem 
offentlicben Schliissel 70 und dem privaten Schliissel 72 un- 
lerschieden zu werden. 

20 [0042] Insgesamt wird durch die hier vorgeschlagene 
Technik sichergestellt, dass die verschliisselten Nutzdaten 
48 nur dann ausgelesen werden konnen, wenn das Benutzer- 
modul 12 des berechtigten Benutzers an die Schnittstelle 14 
angeschlossen ist und der Benutzer sich, z. B. mittels der 

25 passphrase, korrekt identifiziert hat. 

[0043] Im vorliegenden Ausfiihrungsbeispiel wird der ge- 
samte Ver- und Entschlusselungsprozess von der Prozesso- 
reinheit 50 des Benutzermoduls 12 durchgefiihrt, wobei die 
Schliisseldaten 60 niemals das Benutzermodul 12 verlassen. 

30 Es sind jedoch auch Ausfuhningsaltemativen vorgesehen, 
bei denen die Verschliisselungsfunktion 64 und der offentli- 
che Schliissel 70, der nicht geheimgehalten zu werden 
braucht, an das Mobilgerat 10 iibergeben werden, so dass 
der Verschliisselungsvorgang durch die in der Regel lei- 

35 stungsfahigerc Prozessoreinheit 32 des Mobilgerats 10 
durchgefiihrt werden kann. Fiir den Entschliisselungsvor- 
gang kann in manchen Ausfiihrungsaltemativen ebenfaUs 
die Prozessoreinheit 32 herangezogen werden, solange da- 
durch die Sicherheit des privaten Schliissels 72 nicht kom- 

40 protnittiert wird. 

[0044] Zur Erzeugung der Schliisseldaten 60 wird im vor- 
liegenden Ausfuhrungsbeispiel die Schlusselerzeugungs- 
funktion 68 verwendet, die ebenfaUs von der Prozessorein- 
heit 50 des Benutzermoduls 12 ausgefuhrt wird. Auf an sich 

45 bekannte Weise berechnet dieses Programm ein Paar aus of- 
fentlichem Schliissel 70 und privatem Schliissel 72. Durch 
diese MaBnahme wird besonders hohe Datensicherheit ge- 
wahrleistet, weil der private Schliissel 72 auch bei der 
Schliisselerzeugung das Benutzermodul 12 nicht verlasst 

50 [0045] Das hier beschriebene Ausfiihrungsbeispiel ist 
nicht auf einen einzigen verschliisselten Bereich fiir die 
Nutzdaten 48 und nicht auf ein einziges Verschliisselungs- 
verfahren beschrankt. So kann beispielsweise - entspre- 
chende Legitimierung durch die passphrase vorausgesetzt - 

55 ein verschliisselter Bereich jederzeit deaktiviert und damit 
frei zuganglich gemacht werden. Auch eine emeute Ver- 
schliisselung mit demselben oder einem anderen Benutzer- 
modul 12 ist moglich. Es konnen auch mehrere verschlus- 
selte Bereiche, gegebenenfalls mit unterschiedlichen 

60 Schliisselpaaren und/oder in verschiedenen GroBen, ange- 
legt und vcrwaltet werden. 

[0046] Insbesonderc bei der vorliegenden Ausgestaltung, 
die einen ASP-Anbieter vorsieht, konnen die verschliissel- 
ten Nutzdaten 48 zusatzlich zur Speicherung im Mobilgerat 
65 10 auch iiber die Luftschnittstelle 16 zu einem Server des 
ASP-Anbieters iibertragen und dort gespeichert werden. 
Eine Synchronisierung der beiderseitig gespeicherten Nutz- 
daten 48 kann bei jedem Schreibzugriff eines Anwendungs- 
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programms 46 oder beim Beenden einer Benutzersitzung 
Oder auf ausdriickliche Anforderung des Benutzers erfolgen. 
Der BenuLzer hat dann einerseits schnellen Zugriff auf die 
lokal gespeicherten Nutzdaten 48 und ist andererseits von 
dem verwendeten Mobilgerat 10 unabhangig, weil er die 5 
beim ASP-Anbieter gespeicherten Nutzdaten 48 auch mil 
jedem anderen Mobilgerat abnifen kann. 
[0047] Femer kann in manchen Ausgestaltungen vorgese- 
hen sein, eine Schliisselkomponente beim Netzbetreiber 
Oder dem ASP-Anbieter zu belassen, Nach erfolgreicher lO 
Einbuchung des Mobilgerats 10 in das Telekommunikati- 
onsnetz 18 wird diese Schliisselkomponente uber die Luft- 
schnittstelle 16 ubertragen, so dass der Netzbetreiber oder 
ASP-Anbieter die Kontrolle uber bestimmte im Mobilgerat 
10 gespeicherte Nutzdaten 48 mit dem Benutzer teilt. 15 

Patentanspriiche 

1. Verfahren zum Speichem von und Zugreifen auf 
Nutzdaten (48) in einem Mobilgerat (10), insbesondere 20 
einem Mobiltelefon oder einem personlichen digitalen 
Assistenten, das einen Geratespeicher (38) aufweist 
und das iiber eine Schnittstelle (14) nut einem Benut- 
zermodul (12) verbunden ist, dadurch gekennzeich- 
net, dass 25 
die Nutzdaten (48) im Geratespeicher (38) des Mobil- 
gerats (10) zumindest teilweise in verschlusselter Form 
gespeichert werden, und dass 

zumindest das Entschlusseln der Nutzdaten (48) bei 
Zugriffsvorgangen unter Verwendung einer Entschliis- 30 
selungsfunktion (66) erfolgt, die durch das Benutzer- 
modul (12) bereitgestellt wird. 

2. Verfahren nach Anspnich 1, dadurch gekennzeich- 
net, dass femer das Verschliisseln der Nutzdaten (48) 
bei Speichervorgangen unter Verwendung einer Ver- 35 
schlusselungsfunktion (64) erfolgt, die durch das Be- 
nutzermodul (12) bereitgestellt wird. 

3. Verfahren nach Anspruch 1 und Anspnich 2, da- 
durch gekennzeichnet, dass das Benutzermodul (12) ei- 
nen Modulspeicher (52) aufweist, in dem die von dem 40 
Benutzermodul (12) bereitgestellten Ver- und Ent- 
schlusselungsfunktionen (64, 66) sowie von diesen 
Funktionen (64, 66) verwendete Schlusseldaten (60) 
enthalten sind, und dass die Wer- und Entschlusselungs- 
funktionen (64, 66) zumindest teilweise von einer Pro- 45 
zessoreinheit (50) des Benutzermoduls (12) ausgefiihrt 
werden. 

4. Verfahren nach Anspruch 3, dadurch gekennzeich- 
net, dass durch das Benutzermodul (12) mindestens 
eine Funktion (68) zum Erzeugen der Schlusseldaten 50 
(60) und zum Schreiben der Schlusseldaten (60) in den 
Modulspeicher (52) bereitgestellt wird. 

5. Verfahren nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, dass zumindest die Ausfiihrung 
der Entschlusselungsfunktion (66) durch ein Kennwort 55 
und/oder eine biometrische Priifung geschutzt ist, 

6. Verfahren nach einem der Anspriiche 1 bis 5, da- 
durch gekennzeichnet, dass das Mobilgerat (10) ein 
auch fur Telekommunikationsfunktionen eingerichte- 
tes Gerat ist. 60 

7. Verfahren nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, dass das Benutzermodul (12) 
ein auch zur Einbuchung in ein Telekommunikations- 
netz (18) vorgesehenes Teilnehmeridentifikationsmo- 
dul ist. 65 

8. Mobilgerat (10), insbesondere Mobiltelefon oder 
personlicher digitaler Assistent, das einen Geratespei- 
cher (38) und eine Schnittstelle (14) zum Anschluss ei- 
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nes Benutzermoduls (12) aufweist, dadurch gekenn- 
zeichnet, dass 

iiber die Schnittstelle (14) Ver- und Enlschliisselungs- 
fiinktionen (64, 66) des Benutzamoduls (12) aufrufbar 
sind, und dass 

der Geratespeicher (38) mindestens einen Bereich fiir 
verschliisselte Nutzdaten (48) aufweist, der zum Be- 
schreiben und Lesen unter Verwendung der Ver- und 
Entschliisselungsfunkuonen (64, 66) des Benutzermo- 
duls (12) eingerichtet ist, 

9. Benutzermodul (12), insbesondere Teilnehmeriden- 
tifikationsmodul fur ein Telekommunikalionsnetz (18), 
das dazu eingerichtet ist, in Zusammenwirken mit ei- 
nem Mobilgerat (10) nach Anspruch 8 ein Verfahren 
nach einem der Anspriiche 1 bis 7 auszufiihren. 

10. Verfahren zum Speichem von und Zugreifen auf 
Konfigurationsdaten (62) sowie zum Ausfuhren min- 
destens eines Anwendungsprogramms (46) in einem 
Mobilgerat (10), insbesondere einem Mobiltelefon 
oder einem personlichen digitalen Assistenten, das ei- 
nen Geratespeicher (38) fiir das Anwendungspro- 
gramm (46) aufweist und das uber eine Schnittstelle 
(14) mit einem einen Modulspeicher (52) aufweisen- 
den Benutzermodul (12) veri>unden ist, dadurch ge- 
kennzeichnet, dass 

die Konfigurationsdaten (62) zumindest auch die Ver- 
fiigbarkeit des Anwendungsprogramms (46) oder ein- 
zelner Funktionen davon betreffen, und dass 
die Konfigurationsdaten (62) in dem Modulspeicher 
(52) gespeichert sind und aus diesem ausgelesen wer- 
den, um zu bestinunen, ob bzw. in welchem Umfang 
das Anwendungsprogramm (46) ausgefiihrt wird. 

11. Verfahren nach Anspruch 10, dadurch gekenn- 
zeichnet, dass das Auslesen der Konfigurationsdaten 
(62) aus dem Modulspeicher (52) durch ein Kennwort 
und/oder eine biometrische Priifung geschiitzt ist. 

12. Verfahren nach Anspruch 10 oder Anspruch 11, 
dadurch gekennzeichnet, dass zumindest Teile des An- 
wendungsprogramms (46) entsprechend den Konfigu- 
rationsdaten (62) in den Geratespeicher (38) geladen 
werden. 

13. Verfahren nach einem der Anspruche 10 bis 12, 
dadurch gekennzeichnet, dass das Mobilgerat (10) ein 
auch fiir Telekommunikationsfunktionen eingerichte- 
tes Gerat ist. 

14. Verfahren nach den Anspriichen 12 und 13, da- 
durch gekennzeichnet, dass die Ubertragung von zu- 
mindest Teilen des Anwendungsprogramms (46) in den 
Geratespeicher (38) unter Verwendung mindestens ei- 
ner der Telekommunikationsfunktionen des Mobilge- 
rats (10) erfolgt. 

15. Verfahren nach einem der Anspriiche 10 bis 14, 
dadurch gekennzeichnet, dass das Benutzermodul (12) 
ein auch zur Einbuchung in ein Telekommunikations- 
netz (18) vorgesehenes Teilnehmeridentifikationsmo- 
dul ist. 

16. Verfahren nach einem der Anspruche 10 bis 15, 
femer mit den Merkmalen des Verfahrens nach einem 
der Anspriiche 1 bis 5. 

17. Mobilgerat (10), insbesondere Mobiltelefon oder 
personlicher digitaler Assistent, das einen Geratespei- 
cher (38) fiir ein Anwendungsprogramm (46) aufweist 
und das fiber eine Schnittstelle (14) mit einem einen 
Modulspeicher (52) aufweisenden Benutzermodul (12) 
verbunden ist, dadurch gekennzeichnet, dass 

iiber die Schnittstelle (14) Konfigurationsdaten (62) 
aus dem Modulspeicher (52) auslesbar sind, die zumin- 
dest auch die Verfiigbarkeit des Anwendungspro- 
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gramms (46) oder einzelner Funktionen davon betref- 
fen, und dass 

das Mobilgerat (10) dazu eingerichtet ist, in Abhangig- 
keit von den aus dem Modulspeicher (52) ausgelesenen 
Konfigurationsdaten (62) zu bestimmen, ob bzw. in 5 
welchem Umfang das Anwendungsprogramm (46) 
ausgefuhrt wird. 

18. Mobilgerat (10) nach Anspruch 17, das dazu ein- 
gerichtet ist, in Zusammenwirken mit einem Benutzer- 
modul (12) ein Verfahren nach einem der Anspriiche lO 
10 bis 16 auszufuhren. 

19. Benutzermodul (12), insbesondere Teilnehmeri- 
dentifikationsmodul fur ein Telekommunikationsnetz 
(18), das dazu eingerichtet ist, in Zusammenwirken mit 
einem Mobilgerat (10) nach Anspruch 17 ein Verfahren 15 
nach einem der Anspriiche 10 bis 16 auszufuhren. 
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